DigiCert: Bugzilla चर्चा को दबाने के लिए कानूनी कार्रवाई की धमकी

DigiCert की कानूनी कार्रवाई की धमकी

• पृष्ठभूमि: DigiCert Bugzilla में हुई चर्चा को कानूनी कार्रवाई के ज़रिए दबाने की कोशिश कर रही है। Sectigo के Chief Compliance Officer द्वारा Bugzilla पर की गई पोस्ट के बारे में DigiCert के वकीलों की ओर से चेतावनी दी गई।

• DigiCert का रुख: DigiCert ने Sectigo के एक विशेष कर्मचारी से नकारात्मक टिप्पणियाँ बंद करने की मांग की है, ताकि कानूनी कार्रवाई से बचा जा सके। DigiCert ने आशा जताई कि ये टिप्पणियाँ किसी संगठित योजना का हिस्सा नहीं हैं, और Sectigo से उचित कदम उठाने की अपेक्षा की।

• Sectigo की प्रतिक्रिया: Sectigo ने DigiCert के दावों का खंडन किया और कहा कि संबंधित टिप्पणियाँ केवल राय की अभिव्यक्ति हैं, जिनमें कानूनी रूप से कोई समस्या नहीं है। साथ ही, उसने ज़ोर दिया कि ऐसी चर्चाएँ PKI community के self-regulation के लिए आवश्यक हैं।

• PKI community का महत्व: PKI community इंटरनेट लेनदेन की सुरक्षा बढ़ाने और सुरक्षित साइटों को उपयोगकर्ताओं के लिए सहज रूप से दिखाने वाली best practices तय करने में महत्वपूर्ण भूमिका निभाती है। इसके लिए खुली और स्वतंत्र चर्चा ज़रूरी है।

• DigiCert की अतिरिक्त व्याख्या: DigiCert ने कहा कि उसने यह पत्र सार्वजनिक और ईमानदार संवाद को प्रोत्साहित करने के इरादे से भेजा था, और इस बात पर ज़ोर दिया कि प्रतिस्पर्धियों के बीच चर्चा निष्पक्ष और तथ्यों पर आधारित होनी चाहिए।

• निष्कर्ष: DigiCert और Sectigo दोनों PKI community में खुली और ईमानदार चर्चा के महत्व को मानते हैं, लेकिन यह चिंता उठी है कि कानूनी धमकियाँ ऐसी चर्चाओं को दबा सकती हैं। PKI community के self-regulation के लिए आलोचनात्मक सवाल और चर्चा अनिवार्य हैं।

[GN⁺]

Hacker News टिप्पणियाँ

• DigiCert ने Baseline Requirements में निर्दिष्ट समय-सीमा को कई बार पार करने के बाद certificates revoke किए हैं
  • हाल के मामलों में किसी खास ग्राहक को संतुष्ट करने के लिए revocation में देरी करना, या अदालत के अस्थायी restraining order (TRO) के कारण revocation में देरी होना शामिल है
• Sectigo के Tim Callan ने DigiCert की देरी की सार्वजनिक रूप से आलोचना की
  • यह राय है कि DigiCert को ग्राहकों के सामने अपनी revocation policy स्पष्ट करनी चाहिए और यह सुनिश्चित करना चाहिए कि ग्राहक समय पर certificates replace कर सकें
• DigiCert की delayed revocation समस्या पर कई संस्थाओं ने चिंता जताई है
  • कानूनी धमकियों के जरिए समस्या सुलझाने की कोशिश अनुचित है, और DigiCert को बड़े backlash का सामना करना पड़ सकता है
• web PKI drama हमेशा चौंकाता है
  • यह तय करने वाली संस्थाएँ कि किसी CA पर भरोसा किया जाए या नहीं, CA business को आसानी से ध्वस्त कर सकती हैं
  • अगर DigiCert इस खेल में हारता है, तो इंटरनेट के सबसे बड़े CA के रूप में यह बड़ा chaos पैदा कर सकता है
• DigiCert की कानूनी प्रतिक्रिया उल्टा उसे और बड़ा नुकसान पहुँचा सकती है
• Bugzilla में उल्लेखित मामले
  • DNS record में underscore का उपयोग न करके security के लिए महत्वपूर्ण assumption का उल्लंघन करने की घटना हुई थी
  • इसे security के लिहाज़ से गंभीर घटना माना जाता है
• DigiCert की कानूनी धमकी web PKI contributors की बातों को दबाने की कोशिश लगती है
  • यह संगठन के उद्देश्य और लक्ष्यों के खिलाफ आचरण है, और यह राय है कि DigiCert से जुड़ी हर चीज़ तुरंत revoke कर दी जानी चाहिए
• DigiCert के validation bug का कारण बना व्यक्ति पहले ही इस्तीफ़ा दे चुका है
  • Sectigo के व्यक्ति ने bug को बंद होने से रोकने की कोशिश की ताकि और जवाब मिल सकें
• कानूनी मुद्दों का उल्लेख न करना महत्वपूर्ण है
  • ज़रूरी है कि legal departments को आपस में बहस करने दी जाए
• DigiCert ने अदालत के आदेश पर आपत्ति क्यों नहीं की, इस पर सवाल उठ रहे हैं
  • संभव है कि किसी खास ग्राहक को विशेष शर्तें दी गई हों
• DigiCert की प्रतिक्रिया सार्वजनिक हो चुकी है, और कंपनी का कहना है कि उसकी मंशा खुली और ईमानदार बातचीत को बढ़ावा देना है
• यह राय है कि DigiCert की कानूनी प्रतिक्रिया गलत निर्णय है
  • Sectigo ने इस मुद्दे को सार्वजनिक रूप से उठाकर कोई नुकसान नहीं उठाया
• certificate authorities पर इंटरनेट उपयोगकर्ताओं का बड़ा भरोसा होता है, और उसके अनुरूप उनकी ज़िम्मेदारी भी है
  • Baseline Requirements न्यूनतम मानक हैं, और जो इन्हें पूरा नहीं करते वे भरोसे के पात्र नहीं हैं
  • TRO के कारण लगभग 70 certificates revoke न कर पाना समझा जा सकता है, लेकिन revocation की अन्य विफलताएँ स्वीकार्य नहीं हैं